An ninh dữ liệu là gì? Phân biệt với bảo vệ dữ liệu cá nhân và an ninh mạng

Khi Luật An ninh mạng 2025 (Luật số 116/2025/QH15) chính thức có hiệu lực, một khái niệm pháp lý hoàn toàn mới xuất hiện lần đầu tiên trong hệ thống luật Việt Nam: an ninh dữ liệu. Đây không phải cách diễn đạt khác của “bảo vệ dữ liệu cá nhân” hay “an toàn thông tin” mà là một phạm trù pháp lý độc lập với nội hàm và nghĩa vụ riêng biệt.

Tuy nhiên, phần lớn doanh nghiệp hiện nay chưa phân biệt được ba khái niệm đang được sử dụng song song trong hệ thống pháp luật: an ninh mạng, an ninh dữ liệu và bảo vệ dữ liệu cá nhân. Sự nhầm lẫn này dẫn đến việc doanh nghiệp hoặc tuân thủ chồng chéo không cần thiết, hoặc bỏ sót nghĩa vụ pháp lý quan trọng mà không hay biết.

An ninh dữ liệu là gì theo Luật An ninh mạng 2025?

Có hai định nghĩa pháp lý chính thức mà doanh nghiệp cần nắm:

Theo Điều 3 Dự thảo Luật An ninh dữ liệu: An ninh dữ liệu là trạng thái bảo đảm tính bảo mật, tính nguyên vẹn, tính khả dụng của dữ liệu và khả năng chủ động phòng ngừa, phát hiện, ngăn chặn, ứng phó với các nguy cơ xâm phạm dữ liệu.

Theo Điều 2 Luật An ninh mạng 2025: An ninh dữ liệu là sự bảo đảm chất lượng dữ liệu và các hoạt động xử lý, sử dụng dữ liệu trên không gian mạng phục vụ phát triển kinh tế – xã hội, chuyển đổi số quốc gia, tránh bị truy cập, sử dụng, tiết lộ, sửa đổi trái phép, phá hoại hoặc hành vi khác đe dọa hoặc gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội.

Hai định nghĩa không mâu thuẫn mà bổ sung cho nhau. Luật ANM 2025 đặt an ninh dữ liệu trong bối cảnh chiến lược quốc gia và phát triển kinh tế số. Dự thảo Luật An ninh dữ liệu đi sâu vào yêu cầu kỹ thuật theo ba trụ cột CIA: Confidentiality (bảo mật), Integrity (nguyên vẹn) và Availability (khả dụng) – đây là ngôn ngữ của tiêu chuẩn ISO 27001 và NIST, cho thấy dự thảo tham chiếu đến thông lệ quốc tế

Phân biệt ba khái niệm hay bị nhầm lẫn

Để hiểu đúng an ninh dữ liệu là gì, cần đặt nó bên cạnh hai khái niệm liên quan là an ninh mạng và bảo vệ dữ liệu cá nhân.

An ninh mạng là gì?

An ninh mạng (theo Luật An ninh mạng 2025)  là sự ổn định, an ninh, an toàn của không gian mạng; bảo vệ hệ thống thông tin và bảo đảm thông tin, dữ liệu, hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. 

An ninh mạng có phạm vi rộng nhất trong ba khái niệm. Nó bao quát toàn bộ không gian mạng quốc gia, từ hạ tầng viễn thông, hệ thống thông tin trọng yếu đến nội dung thông tin trên mạng và hành vi của các chủ thể tham gia không gian mạng. An ninh mạng không chỉ quan tâm đến dữ liệu mà quan tâm đến mọi hoạt động diễn ra trên không gian mạng có thể ảnh hưởng đến an ninh quốc gia và trật tự xã hội.

An ninh dữ liệu là gì?

An ninh dữ liệu là tập con của an ninh mạng, thu hẹp phạm vi xuống chỉ còn dữ liệu và các hoạt động xử lý, sử dụng dữ liệu xuyên suốt vòng đời – từ thu thập, tạo lập, lưu trữ, sử dụng, chia sẻ, truyền đưa cho đến khi xóa bỏ, tiêu hủy vĩnh viễn. Điểm đặc thù của an ninh dữ liệu là gắn với mục tiêu phát triển kinh tế số: không chỉ bảo vệ dữ liệu mà còn đảm bảo dữ liệu có thể được khai thác, sử dụng hiệu quả phục vụ chuyển đổi số.

Bảo vệ dữ liệu cá nhân là gì?

Bảo vệ dữ liệu cá nhân (theo Luật BVDLCN 2025 và Nghị định 356/2025/NĐ-CP) tập trung vào quyền của cá nhân đối với dữ liệu của chính họ. Đây là khái niệm hẹp nhất trong ba khái niệm, chỉ điều chỉnh dữ liệu liên quan đến cá nhân cụ thể và đặt trọng tâm vào quyền kiểm soát, quyền đồng ý và quyền được bảo vệ của chủ thể dữ liệu.

Bảng phân biệt ba khái niệm

Tiêu chí	An ninh mạng	An ninh dữ liệu	Bảo vệ dữ liệu cá nhân
Phạm vi	Toàn bộ không gian mạng	Dữ liệu và hoạt động xử lý dữ liệu xuyên vòng đời	Dữ liệu của cá nhân cụ thể
Mục tiêu	An ninh quốc gia và trật tự xã hội	Chất lượng dữ liệu và phát triển kinh tế số	Quyền riêng tư và quyền của chủ thể dữ liệu
Văn bản điều chỉnh	Luật ANM 2025	Điều 26 Luật ANM 2025; Dự thảo Luật An ninh dữ liệu (hiệu lực 01/12/2027)	Luật BVDLCN số 91/2025 và Nghị định 356/2025
Đối tượng bảo vệ	Không gian mạng quốc gia	Tài sản dữ liệu của tổ chức và quốc gia	Cá nhân là chủ thể dữ liệu

Một điểm quan trọng: ba khái niệm này không loại trừ nhau mà chồng lên nhau theo chiều từ rộng đến hẹp. Dữ liệu cá nhân của khách hàng vừa thuộc phạm vi an ninh mạng (nếu liên quan đến hạ tầng mạng), vừa thuộc phạm vi an ninh dữ liệu (nếu được xử lý trên không gian mạng), vừa thuộc phạm vi bảo vệ dữ liệu cá nhân (vì đây là dữ liệu của cá nhân cụ thể). Doanh nghiệp phải tuân thủ đồng thời cả ba lớp nghĩa vụ này.

Phân loại dữ liệu theo 4 cấp độ rủi ro (Dự thảo Luật An ninh dữ liệu – Điều 6)

Cơ chế cốt lõi của Dự thảo Luật An ninh dữ liệu là hệ thống phân loại dữ liệu theo 4 cấp độ rủi ro, căn cứ vào tính chất, quy mô tích tụ và mức độ tác động đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội:

• Cấp độ 1 – Dữ liệu Thông thường: Dữ liệu mở hoặc hoạt động dân sự, thương mại thông thường. Rủi ro thấp đối với quyền và lợi ích hợp pháp.
• Cấp độ 2 – Dữ liệu Nội bộ: Dữ liệu quản lý, vận hành nội bộ hoặc bí mật kinh doanh. Rò rỉ gây tổn thất cho hoạt động bình thường hoặc môi trường cạnh tranh.
• Cấp độ 3 – Dữ liệu Quan trọng: Thuộc các ngành, lĩnh vực trọng điểm. Rò rỉ gây nguy hại nghiêm trọng đến an ninh quốc gia, kinh tế vĩ mô hoặc lợi ích công cộng.
• Cấp độ 4 – Dữ liệu Cốt lõi: Liên quan trực tiếp đến quốc phòng, an ninh quốc gia, chủ quyền số và lợi ích chiến lược tối cao.

Nguyên tắc nâng cấp tự động: Dữ liệu thuộc cấp độ thấp hơn, khi tích tụ đạt ngưỡng quy mô lớn làm thay đổi bản chất rủi ro, sẽ được áp dụng cấp độ bảo vệ cao hơn tương ứng. Doanh nghiệp xử lý dữ liệu quy mô lớn cần đặc biệt lưu ý điểm này.

Cấp độ phân loại dữ liệu quyết định trực tiếp mức độ nghĩa vụ tuân thủ, thời hạn báo cáo sự cố và khả năng chuyển dữ liệu ra nước ngoài. Doanh nghiệp chưa có hệ thống phân loại dữ liệu sẽ không thể xác định được nghĩa vụ cụ thể của mình.

Điều 26 Luật An ninh mạng 2025: 7 nội dung bảo đảm an ninh dữ liệu

Điều 26 Luật An ninh mạng 2025 quy định cụ thể 7 nội dung mà tổ chức, doanh nghiệp phải thực hiện để bảo đảm an ninh dữ liệu. Đây là các nghĩa vụ kỹ thuật và tổ chức cụ thể, không phải nguyên tắc chung chung.

Nội dung 1: Xây dựng chính sách, thiết lập quy trình về bảo đảm an ninh dữ liệu 

Nội dung 2: Áp dụng biện pháp, tiêu chuẩn, quy chuẩn kỹ thuật theo quy định của pháp luật về an ninh mạng 

Nội dung 3: Sử dụng mật mã cơ yếu, mật mã dân sự để bảo đảm an ninh dữ liệu 

Nội dung 4: Triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu 

Nội dung 5: Kiểm tra, đánh giá rủi ro định kỳ nhằm phát hiện, ngăn chặn và xử lý kịp thời các nguy cơ đe dọa an ninh dữ liệu 

Nội dung 6: Kiểm tra, đánh giá việc chuyển dữ liệu xuyên biên giới; điều kiện bảo đảm an ninh dữ liệu trong hệ thống thông tin quan trọng về an ninh quốc gia, các cơ sở dữ liệu, trung tâm dữ liệu, hệ thống lưu trữ dữ liệu 

Nội dung 7: Các nội dung khác theo quy định của pháp luật 

Những thay đổi lớn từ Dự thảo Luật An ninh dữ liệu doanh nghiệp cần biết trước

Ngoài Điều 26 Luật ANM 2025 đang có hiệu lực, doanh nghiệp cần chuẩn bị trước cho các nghĩa vụ từ Dự thảo Luật An ninh dữ liệu dự kiến hiệu lực 01/12/2027:

• Báo cáo sự cố theo 4 mốc thời hạn nghiêm ngặt: Trong vòng 02 giờ đối với sự cố liên quan đến Dữ liệu Cốt lõi; trong vòng 24 giờ đối với tất cả sự cố dữ liệu khác; trong vòng 72 giờ phải có báo cáo đầy đủ về phạm vi, nguyên nhân và biện pháp khắc phục; trong vòng 30 ngày kể từ khi khắc phục hoàn toàn phải có báo cáo tổng kết.
• Kiểm soát chuyển dữ liệu xuyên biên giới: Dữ liệu Cốt lõi hoặc Quan trọng có tác động đến quốc phòng, an ninh, tài chính – ngân hàng, năng lượng, viễn thông, điều hành khẩn cấp bị cấm tuyệt đối chuyển ra nước ngoài. Dữ liệu Quan trọng hoặc Cốt lõi (ngoài nhóm bị cấm tuyệt đối) phải được Bộ Công an thẩm định và cấp văn bản chấp thuận trước khi chuyển.
• An ninh chuỗi cung ứng bắt buộc: Tất cả nhà cung cấp Cloud, SaaS, AI, trung tâm dữ liệu đều phải được đánh giá rủi ro trước khi hợp tác và ký Hợp đồng an ninh dữ liệu, trong đó quy định nghĩa vụ thông báo sự cố không quá 24 giờ.
• Chế tài phạt theo doanh thu: Vi phạm đặc biệt nghiêm trọng bị phạt tối đa 5% tổng doanh thu tại Việt Nam. Đối với tập đoàn đa quốc gia, mức phạt có thể tính trên doanh thu toàn cầu – tương tự mô hình GDPR của châu Âu.

Doanh nghiệp cần làm gì để đáp ứng yêu cầu an ninh dữ liệu?

Hiểu an ninh dữ liệu là gì chỉ là bước đầu. Câu hỏi thực tế hơn là doanh nghiệp cần làm gì cụ thể để đáp ứng 7 nội dung tại Điều 26 Luật An ninh mạng 2025.

Bước đầu tiên là kiểm kê và phân loại toàn bộ tài sản dữ liệu theo 4 cấp độ của Dự thảo Luật An ninh dữ liệu. Đây là nền tảng bắt buộc: doanh nghiệp không thể xác định nghĩa vụ tuân thủ nếu chưa biết mình đang xử lý dữ liệu thuộc cấp độ nào.

Bước thứ hai là rà soát kiến trúc bảo mật kỹ thuật đối chiếu với 7 nội dung tại Điều 26 Luật ANM 2025: hệ thống mã hóa có đang được áp dụng đúng không, kiểm soát truy cập có được phân cấp rõ ràng không, hệ thống giám sát có đủ năng lực phát hiện bất thường không.

Bước thứ ba là xây dựng quy trình báo cáo sự cố có khả năng đáp ứng thời hạn 02 giờ (Dữ liệu Cốt lõi) và 24 giờ (các sự cố khác) theo Dự thảo Luật An ninh dữ liệu. Thời hạn này không thể đạt được nếu không có hệ thống phát hiện sự cố tự động và phân công trách nhiệm rõ ràng từ trước.

Bước thứ tư là rà soát và chuẩn hóa hợp đồng với toàn bộ bên thứ ba xử lý dữ liệu, bổ sung điều khoản an ninh dữ liệu và nghĩa vụ thông báo sự cố theo yêu cầu của Dự thảo Luật.

Bước thứ năm là đảm bảo tính đồng bộ giữa nghĩa vụ an ninh dữ liệu theo Điều 26 và các nghĩa vụ bảo vệ dữ liệu cá nhân theo Luật BVDLCN số 91/2025 và Nghị định 356. Hai bộ nghĩa vụ có nhiều điểm giao thoa và triển khai đồng thời sẽ tiết kiệm nguồn lực.

Kiểm định an toàn hệ thống IT

Việc tự đánh giá mức độ tuân thủ an ninh dữ liệu theo Điều 26 Luật An ninh mạng 2025 đòi hỏi chuyên môn kỹ thuật sâu và góc nhìn độc lập mà đội ngũ IT nội bộ thường không thể cung cấp đầy đủ. Đây là lý do dịch vụ Kiểm định An toàn Hệ thống IT của 405CYSE được thiết kế.

405CYSE triển khai quy trình kiểm định theo mô hình 5P SYNS, đánh giá toàn diện cả năm trụ cột gồm hạ tầng, quy trình, nền tảng, chính sách và con người. Kết quả là báo cáo với hơn 150 hạng mục rủi ro được chấm điểm và phân cấp rõ ràng, đối chiếu đồng thời với Điều 26 Luật An ninh mạng 2025, Nghị định 356/2025/NĐ-CP, ISO 27001:2022 và TCVN 11930:2017. Doanh nghiệp nhận được bức tranh toàn diện về mức độ tuân thủ an ninh dữ liệu và lộ trình khắc phục cụ thể theo thứ tự ưu tiên.

Xem chi tiết dịch vụ Kiểm định An toàn Hệ thống IT tại đây

An ninh dữ liệu là gì không còn là câu hỏi học thuật kể từ khi Luật An ninh mạng 2025 có hiệu lực. Đây là nghĩa vụ pháp lý cụ thể với 7 nội dung bắt buộc tại Điều 26 mà mọi doanh nghiệp xử lý dữ liệu trên không gian mạng phải thực hiện. Hiểu rõ sự khác biệt giữa an ninh dữ liệu, an ninh mạng và bảo vệ dữ liệu cá nhân giúp doanh nghiệp xác định đúng nghĩa vụ của mình, tránh tuân thủ chồng chéo lãng phí và quan trọng hơn là không bỏ sót bất kỳ yêu cầu pháp lý nào.

Doanh nghiệp chủ động tuân thủ an ninh dữ liệu không chỉ đang giảm thiểu rủi ro pháp lý mà đang xây dựng nền tảng dữ liệu đáng tin cậy để tăng trưởng bền vững trong kỷ nguyên số.

Lưu ý: Các nội dung liên quan đến Dự thảo Luật An ninh dữ liệu dựa trên văn bản dự thảo đang được lấy ý kiến, dự kiến trình Quốc hội thông qua tại Kỳ họp thứ 2, khóa XVI vào tháng 10/2026 và có thể thay đổi trong quá trình hoàn thiện.